KI-Compliance dokumentieren: vom Inventar zum Audit-Dossier
Ein Audit-Dossier ist am nützlichsten, wenn es nicht erst vor einer Anfrage entsteht. Sammeln Sie Informationen während der Arbeit am System: Einsatzbeschreibung, Bewertung, Zuständigkeiten, Prüfungen und Änderungen. So lässt sich später erklären, auf welcher Grundlage eine Freigabe erfolgt ist.
Eine gemeinsame Dokumentstruktur je System
Geben Sie jedem KI-System eine eindeutige Referenz im Inventar. Verwenden Sie diese auch für Bewertungen, Dokumente und Aufgaben. Ein zusammenhängender Systemordner hilft mehr als eine Sammlung von Dateien, deren Titel und Versionen niemand eindeutig zuordnen kann.
Trennen Sie allgemeine Unternehmensregeln von systemspezifischen Informationen. Eine KI-Richtlinie kann für mehrere Teams gelten; Einsatzbeschreibung, Anbieterauskünfte und Prüfprotokolle gehören zum jeweiligen System. Verlinken Sie gemeinsame Regeln, statt für jede Anwendung eine abweichende Kopie zu pflegen.
Checkliste: was Sie für eine Prüfung bereithalten sollten
Diese organisatorische Checkliste beschreibt eine mögliche Dossierstruktur. Sie ist keine pauschale Liste gesetzlicher Pflichtdokumente: Der benötigte Umfang hängt vom System, Ihrer Rolle und der konkreten Anfrage ab.
- Aktueller Inventareintrag mit Zweck, Anbieter und zuständiger Person.
- Risikobewertung mit Begründung, Annahmen und verwendeten Quellen.
- Relevante Datenschutzunterlagen und dokumentierte offene Prüfpunkte.
- Interne Vorgaben für Nutzung, Kontrolle und Umgang mit Fehlern.
- Freigaben, Zuständigkeiten und Nachweise durchgeführter Maßnahmen.
- Anbieterinformationen und gegebenenfalls zugehörige Vereinbarungen.
- Änderungsverlauf mit Datum, Dokumentversion und Anlass der Anpassung.
- Offene Aufgaben mit verantwortlicher Person und vereinbartem Termin.
Versionen, Status und Nachweise auseinanderhalten
Kennzeichnen Sie, ob ein Dokument ein Entwurf, fachlich geprüft oder freigegeben ist. Ein automatisch ausgefüllter Text ist zunächst ein Entwurf. Lassen Sie die zuständige Person prüfen, ob die Beschreibung zur tatsächlichen Nutzung passt und ob Annahmen ausreichend belegt sind.
Bewahren Sie frühere freigegebene Fassungen nachvollziehbar auf. Notieren Sie bei einer Änderung nicht nur das neue Datum, sondern auch den Grund: neuer Anbieter, anderer Zweck, zusätzliche Daten oder geänderte Kontrollmaßnahmen. Ein Versionsverlauf erleichtert die Erklärung, welche Regelung zu welchem Zeitpunkt galt.
Den Export vor einer Anfrage erproben
Testen Sie Ihr Dossier mit einer Person, die das System nicht täglich betreut. Kann sie den Einsatzzweck verstehen, die Bewertung nachvollziehen und die zuständige Person finden? Fehlen Anlagen oder enthalten Dokumente widersprüchliche Angaben, korrigieren Sie diese im laufenden Prozess.
Komplyo verbindet KI-Register, Klassifizierungs-Memos, Dokumente und Verantwortlichkeiten und unterstützt deren Export als Audit-Dossier. Der praktische Nutzen liegt in der gemeinsamen Datenbasis: Änderungen am System müssen nicht in voneinander unabhängigen Listen gesucht werden. Ein Export ersetzt jedoch weder die fachliche Freigabe noch die Prüfung einer konkreten Anfrage.